[방어] 분석 — CVE-2026-31752

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 경로: Local Network Access $\rightarrow$ Bridge Interface $\rightarrow$ br_nd_send() 함수 호출.
• 원리: Neighbor Discovery(ND) 옵션 처리 과정에서 옵션 길이를 제대로 검증하지 않는 점을 악용합니다.
• 단계:
  1. 공격자가 조작된(Malformed) ND 옵션 패킷을 생성하여 전송합니다.
  2. br_nd_send() 함수가 해당 옵션을 파싱할 때, 실제 데이터 길이보다 큰 값을 가진 옵션 길이를 참조합니다.
  3. 파서가 계산된 옵션 범위를 벗어나 메모리를 읽거나(Out-of-bounds Read), 너무 짧은 소스 LLADDR 페이로드를 사용하여 잘못된 메모리 영역에 접근합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정됩니다. CVSS 벡터 AV:L 및 PR:L에서 알 수 있듯, 공격자는 네트워크 패킷을 조작하여 송신하기 전 이미 대상 시스템에 대한 로컬 접근 권한과 최소 수준의 사용자 권한을 확보해야 하는 전제조건이 있습니다. 공격 표면은 Linux 커널의 bridge 모듈 내 br_nd_send() 함수이며, 구체적으로는 Neighbor Discovery(ND) 프로토콜의 옵션 길이 필드를 조작한 Malformed Packet이 트리거 조건이 됩니다. 이론적인 심각도와 달리 EPSS 수치가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은, 실제 야생(In-the-wild)에서 이 복잡한 커널 메모리 파싱 오류를 성공적으로 악용해 권한 상승이나 시스템 붕괴를 일으킨 사례가 드물음을 시사합니다. 결과적으로 로컬 접근이라는 제약과 정교한 패킷 구조 설계가 필요하므로, 외부에서 즉각적으로 유입되는 위협보다는 내부 침투 후 단계적 권한 상승을 노리는 시나리오에서 제한적인 악용 가능성을 가집니다.

• 가용성 저하: 잘못된 메모리 참조로 인해 커널 패닉(Kernel Panic) 및 시스템 크래시가 발생하여 서비스 거부(DoS) 상태가 될 수 있습니다. (CVSS 벡터 A:H 반영)
• 권한 요구: 로컬 접근 권한(AV:L, PR:L)이 필요하므로, 이미 시스템에 진입한 공격자가 권한 상승이나 시스템 무력화를 시도하는 2차 공격 단계에서 활용될 가능성이 높습니다.

• 유형: Out-of-bounds Read / Integer Overflow (추정: 길이 검증 미흡으로 인한 메모리 오버런).
• 체이닝: 로컬 권한을 획득한 공격자가 커널 메모리 구조를 파악하기 위한 정보 유출(Information Leak) 수단으로 활용하거나, 시스템 가용성을 파괴하여 보안 솔루션을 무력화하는 시나리오와 연계될 수 있습니다.

본 취약점은 커널 내부 함수 수준에서 발생하므로 일반적인 애플리케이션 로그로는 탐지가 어렵습니다. 네트워크 레벨의 비정상 패킷과 시스템 커널 로그를 교차 분석해야 합니다.

• 로그 지표 및 패턴:

  • dmesg 또는 /var/log/syslog: kernel: bridge: br_nd_send 관련 에러, General Protection Fault, Kernel Panic 등의 키워드 확인.
  • Network Traffic: IPv6 ND(Neighbor Discovery) 패킷 중 Option Length 필드가 비정상적으로 크거나, 전체 패킷 길이와 불일치하는 경우.

• 탐지 규칙 예시:

  1. SIEM 쿼리 (커널 로그 기반):
     index=linux_logs message="*kernel*" AND (message="*General Protection Fault*" OR message="*panic*") AND message="*bridge*"
  2. IDS/IPS 정규식 (ND 옵션 길이 검증 - 추정):
     IPv6 ND 패킷의 Option Type 필드 이후 Length 필드가 정의된 최대 MTU 또는 표준 옵션 크기를 초과하는 패턴 탐지.
     pattern: /IPv6_ND_Packet\s+Option_Length\s+>\s+Max_Expected_Length/ (의사코드)

• 오탐 튜닝:

  • 특정 네트워크 드라이버나 가상화 환경(VMware, KVM)에서 발생하는 정상적인 브릿지 트래픽 패턴을 화이트리스트에 추가하여 오탐을 줄입니다.

본 리포트는 다중 소스 데이터 일관성이 확인되었으며(신뢰도 1.0), EPSS 수치가 0.00129로 매우 낮고 실측 악용 사례가 없는 점, 공격 난이도가 hard인 점을 근거로 우선순위를 **monitor(모니터링)**로 결정하였습니다. 따라서 가동 중인 서비스의 영향도를 고려하여 단계적으로 접근합니다.

• 즉시 (긴급 차단):

  • 조치: 불필요한 IPv6 Neighbor Discovery 트래픽을 호스트 방화벽(iptables/nftables)에서 차단하거나, 신뢰할 수 없는 로컬 사용자의 네트워크 인터페이스 접근 권한을 제한합니다.
  • 난이도/영향: 낮음 / IPv6 통신 불가 가능성 있음.
  • 검증: tcpdump -i any icmp6를 통해 ND 패킷 차단 여부 확인.

• 단기 (완화):

  • 조치: Linux Bridge 기능을 사용하지 않는 서버의 경우, 관련 커널 모듈(bridge)을 언로드하거나 로딩되지 않도록 설정합니다 (modprobe -r bridge).
  • 난이도/영향: 중간 / 브릿지 기반 네트워크 구성(컨테이너 가상 네트워크 등) 시 서비스 중단 발생.
  • 검증: lsmod | grep bridge 명령어로 모듈 로드 여부 확인.

• 근본 (해결):

  • 조치: 영향받는 커널 버전 범위(4.15 ~ 6.19 등)를 확인하고, 수정 사항이 반영된 최신 안정 버전으로 커널 업데이트 및 리부팅을 수행합니다.
  • 난이도/영향: 높음 / 시스템 재부팅 필요, 커널 업데이트 후 드라이버 호환성 테스트 필수.
  • 검증: uname -r 명령어로 패치된 커널 버전 적용 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None